Koszty niewidzialne: jak złe AWS IAM niszczy budżet startupu
Startupy uwielbiają chmurę. Skalujesz się szybko, płacisz za to, czego używasz. Ale jest jeden cichy zabójca budżetów, o którym mało kto mówi na spotkaniach: źle skonfigurowane uprawnienia IAM. Nie chodzi tylko o bezpieczeństwo – choć to też ważne. Chodzi o prawdziwe pieniądze, które wypływają z konta co miesiąc, bo ktoś kiedyś dodał 'admin’ dla całego zespołu.
W JurskiTech od lat pomagamy firmom projektować architektury chmurowe. I za każdym razem widzimy to samo: nadmiarowe uprawnienia = nadmiarowe koszty. Pokażę Ci trzy konkretne mechanizmy, przez które stracić można nawet 30% miesięcznego rachunku za AWS.
1. Nadmiarowe uprawnienia a koszty transferu danych
Wyobraź sobie startup, który uruchamia pipeline danych. Każdy developer ma dostęp do S3 z pełnymi prawami. Ktoś przypadkiem uruchamia skrypt, który pobiera 10 GB danych do lokalnego środowiska. Niby nic – ale jeśli robi to codziennie, a zespół liczy 10 osób, robi się 100 GB tygodniowo. W AWS opłaty za transfer danych z S3 do internetu są liczone od każdego GB. Mnożysz przez 4 tygodnie i nagle masz 400 GB – koszt rzędu kilkuset dolarów miesięcznie, który powstał tylko dlatego, że brakowało restrykcji na pobieranie.
Prawda jest taka, że większość developerów nie potrzebuje dostępu do produkcji. Ale w startupach często panuje kultura 'dajmy wszystkim full access, bo szybciej’. To błąd. Każde niepotrzebne uprawnienie to potencjalny koszt – nie tylko w transferze, ale też w operacjach, które mogą być uruchomione przez pomyłkę.
2. Nieużywane role i usługi – płacisz za martwe zasoby
Pamiętam przypadek klienta, który migrował z monolitu na mikroserwisy. W ramach refactoringu powstało wiele nowych funkcji Lambda i nowych ról IAM. Nikt nie posprzątał starych ról. Po roku okazało się, że mają 150 roli IAM, z których 80 nie było używanych od miesięcy. Każda rola to potencjalny koszt związany z zarządzaniem, ale przede wszystkim z usługami, które były do niej przypisane – np. nieużywane instancje EC2, które dalej działały, bo ktoś zapomniał je wyłączyć. Rachunek urósł o 20% więcej niż potrzebowali.
Rozwiązanie? Regularny audyt IAM. AWS oferuje narzędzia takie jak IAM Access Analyzer i Cost Explorer, które pomagają identyfikować nieużywane role i zasoby. Ale to wymaga dyscypliny. W startupach często odkładamy to 'na później’, a później płacimy.
3. Zbyt szerokie polityki a ataki kryptominerów
To już historia jak z horroru. Startup, który miał pełny dostęp do EC2 i S3 dla każdego członka zespołu. Ktoś wrzucił na Slacka klucz dostępu (tak, zdarza się). Boty skanujące GitHub złapały go w ciągu godziny. W efekcie na koncie pojawiły się instancje GPU w regionie, o którym nikt nie słyszał. Po trzech dniach rachunek wyniósł 15 000 dolarów – za wydobywanie kryptowalut. IAM mogło to zatrzymać, gdyby polityki były ograniczone do minimum. Wystarczyło, aby klucz miał tylko prawo do odczytu z S3 w jednym bucketcie – a nie do uruchamiania instancji.
Kryptominerzy to realne zagrożenie. AWS ma mechanizmy takie jak Service Control Policies (SCP) i granice uprawnień, ale wiele startupów ich nie stosuje, bo 'to dodatkowa robota’. Tylko że ta 'robota’ to godzina konfiguracji, która może uchronić przed stratą tysięcy dolarów.
Jak to naprawić? Praktyczne kroki dla startupów
Po pierwsze, zasada najmniejszego uprawnienia. Każda rola powinna mieć tylko te uprawnienia, które są niezbędne do wykonania zadania. Brzmi banalnie, ale w praktyce wymaga analizy. Na początek warto użyć narzędzia AWS IAM Access Analyzer do generowania polityk na podstawie rzeczywistego użycia.
Po drugie, regularne przeglądy. Raz na kwartał – przejrzyj wszystkie role, usuń nieużywane, ogranicz te, które mają za dużo. Ustaw alerty budżetowe w AWS Budgets, które poinformują Cię o przekroczeniu progów.
Po trzecie, automatyzacja. Wykorzystaj skrypty do wykrywania nieużywanych ról i usług. W JurskiTech stosujemy własne skrypty, które co tydzień skanują konto i wysyłają raport. To 30 minut roboty, która oszczędza tysiące.
Podsumowanie
Złe IAM to nie tylko problem bezpieczeństwa – to realny wyciek pieniędzy. W startupach, gdzie każda złotówka się liczy, ignorowanie zarządzania uprawnieniami to luksus, na który nas nie stać. Audytuj, ograniczaj, automatyzuj. Twój budżet Ci podziękuje.
Jeśli potrzebujesz pomocy w audycie AWS lub projektowaniu bezpiecznej i oszczędnej architektury – daj znać. W JurskiTech pomagamy małym i średnim firmom skalować się bez przepalania budżetu w chmurze.
